8.3. 秘密鍵と Rekor を使用した sigstore 署名によるコンテナーイメージの署名

手順

1. sigstore の公開鍵または秘密鍵のペアを生成します。

   $ skopeo generate-sigstore-key --output-prefix myKey.private

   公開鍵と秘密鍵 myKey.pub と myKey.private が生成されます。

2. 以下を /etc/containers/registries.conf.d/default.yaml ファイルに追加します。

   docker:
       <registry>:
           use-sigstore-attachments: true

   use-sigstore-attachments オプションを設定することで、Podman と Skopeo はコンテナーの sigstore 署名をイメージと共に読み書きし、署名されたイメージと同じリポジトリーに保存できます。

   注記

   /etc/containers/registries.d/ ディレクトリー内の任意の YAML ファイルのレジストリーまたはリポジトリー設定セクションを編集できます。単一のスコープ (default-docker、registry、または namespace) は、/etc/containers/registries.d/ ディレクトリー内の 1 つのファイルにのみ存在できます。/etc/containers/registries.d/default.yaml ファイルでシステム全体のレジストリー設定を編集することもできます。すべての YAML ファイルが読み込まれ、ファイル名は任意であることに注意してください。

3. カレントディレクトリーの Containerfile を使用して、コンテナーイメージをビルドします。

   $ podman build -t <registry>/<namespace>/<image>

4. /etc/containers/registries.d/file.yml ファイルを作成します。

   privateKeyFile: "/home/user/sigstore/myKey.private"
   privateKeyPassphraseFile: "/mnt/user/sigstore-myKey.private-passphrase"
   rekorURL: "https://<your-rekor-server>"

   file.yml は、sigstore 署名の作成に必要なオプションを保存するために使用される sigstore 署名パラメーター YAML ファイルです。

5. イメージに署名し、レジストリーにプッシュします。

   $ podman push --sign-by-sigstore=file.yml <registry>/<namespace>/<image>

   あるいは、同様の --sign-by-sigstore オプションを指定して skopeo copy コマンドを使用して、既存のイメージをコンテナーレジストリー間で移動しながら署名することもできます。

   警告

   パブリックサーバーへの送信には、公開鍵に関するデータと署名に関するメタデータが含まれる点に注意してください。